Zupastik страшнее всех!

[SergOst]

Юзер, шатающийся по сайтам вместо работы, подхватил zupastik.exe - очень жуткий вирус.(В инете пишут, что он есть на сайте http://fprognoz.com)
Гнездится в c:\windows, c:\winnt
Результат его разрушения: компьютер вмиг становится несетевым: браузеры дают dns-error, сетевая печать не работает, сетевые проги не запускаются (например, 1С, терминальный режим и т.п.), блокируются многие сетевые порты, в реестре во многих текстовых строках сплошная тарабарщина(???!!!), с файлом идет видимо спутник - zu.exe, который как вирус не опознается.(через что они запускаются не понял)
Но при этом в проводнике нормально видятся сетевые папки, файлы по сети копируются, идут пинги по ip-адресам внешним и внутренним.
Сайты проверки файлов дают:
http://www.virustotal.com
Antivirus Version Update Result
AhnLab-V3 2007.3.17.0 03.16.2007 Win-Trojan/Agent.69120.L
AntiVir 7.3.1.43 03.18.2007 TR/Cimuz.B
Authentium 4.93.8 03.17.2007 W32/Cimuz.DR
Avast 4.7.936.0 03.16.2007 Win32:Agent-ENY
AVG 7.5.0.447 03.18.2007 Proxy.KKL
BitDefender 7.2 03.18.2007 no virus found
CAT-QuickHeal 9.00 03.15.2007 TrojanProxy.Agent.ly
ClamAV 0.90.1 03.18.2007 no virus found
DrWeb 4.33 03.18.2007 Trojan.Spambot
eSafe 7.0.14.0 03.16.2007 no virus found
eTrust-Vet 30.6.3486 03.16.2007 Win32/Difisim.AB
Ewido 4.0 03.18.2007 Proxy.Agent.ly
FileAdvisor 1 03.18.2007 no virus found
Fortinet 2.85.0.0 03.18.2007 no virus found
F-Prot 4.3.1.45 03.17.2007 W32/Cimuz.DR
F-Secure 6.70.13030.0 03.18.2007 Trojan-Proxy.Win32.Agent.ly
Ikarus T3.1.1.3 03.18.2007 no virus found
Kaspersky 4.0.2.24 03.18.2007 Trojan-Proxy.Win32.Agent.ly
McAfee 4986 03.16.2007 Proxy-Agent.o
Microsoft 1.2306 03.18.2007 Trojan:Win32/Mespam
NOD32v2 2125 03.18.2007 a variant of Win32/TrojanProxy.Cimuz.NAF
Norman 5.80.02 03.16.2007 no virus found
Panda 9.0.0.4 03.18.2007 Generic Trojan

http://virusscan.jotti.org/
Scan taken on 18 Mar 2007 22:55:40 (GMT)
AntiVir Found TR/Cimuz.B
ArcaVir Found nothing
Avast Found Win32:Agent-ENY
AVG Antivirus Found Proxy.KKL
BitDefender Found nothing
ClamAV Found nothing
Dr.Web Found Trojan.Spambot
F-Prot Antivirus Found W32/Cimuz.DR
F-Secure Anti-Virus Found Trojan-Proxy:W32/Cimuz.CU, Trojan-Proxy.Win32.Agent.ly
Fortinet Found nothing
Kaspersky Anti-Virus Found Trojan-Proxy.Win32.Agent.ly
NOD32 Found a variant of Win32/TrojanProxy.Cimuz.NAF
Norman Virus Control Found nothing
Panda Antivirus Found nothing
VirusBuster Found nothing
VBA32 Found Trojan-Proxy.Win32.Agent.ly

Как видно Norton Antivirus совсем перестал работать.
Полные кранты - нужен снос системы и переинсталляция.
Может кто нарыл, как восстановить систему без переустановки?

[MadMaks]

SergOst
А "Аварийный диск Касперского" не пробовали?
Какаие вообще действия предпринимали?

[SergOst]

А "Аварийный диск Касперского" не пробовали?
Какаие вообще действия предпринимали?

Нет, не пробовал "аварийный диск К". Его еще надо суметь создать. А разве он может восстанавливать порушенное вирусом?
Просто вирус удалить из системы я и без дисков удаляю, потом ищу ссылки в реестре на его запуск и их удаляю. (в случае zupastika их не было), очищаю temp и системные каталоги от всего подозрительного сопутствующего проверяю в онлайне.
Все это я сделал, но когда куча веток в реестре тарабарщиной написаны - это вообще отпад.
Я думаю zu.exe - это как раз файл, совершивший такой перевод на "зулусский" язык.

[Altaranenco]

А вот что нам говорит viruslist.ru

Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
При помощи "Диспетчера задач" завершить процесс оригинального файла троянца.
Завершить процессы со следующими именами:
kl.exe
z.exe
c.exe
Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
Удалить скаченные файлы:
%Temp%\k1.exe
%Temp%\z.exe
%Temp%\c.exe
Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Твоя же версия ,скорее всего слега модифицированный вариант этого троянчика.

По существу предлагаю:
1)скачать нормальный антивирь (надесюь он у тебя уже стоит), хотя бы того же касперского в триале и проверить с настройками по максимуму всю систему...
2)если на системе не отключена служба восстановления - то в откатись назад
иначе
переустанови виндовс сверху... т.е. фактически просто обнови ее с установочного диска... Либо ручками повостанавливай файлы на нехватку которых ругается винда.

По поводу реестра:
реестр много где хранится... Если ты пользовался программами типа RegCleaner то они сохраняют копию реестра... Попробуй реестр восстановить какой-нибудь программой.

[Greyman]

Ну сетевые службы можно попробовать удалением службы TC-протокола (или как там по человечески) и установкой заново. А тарабарщина в реестре вполне может быть следствием необнаруженого в памяти работающего процесса, аля руткит... Можно пройтись, например "Rootkit Unhooker" по скрытым процессам

[SergOst]

А вот что нам говорит viruslist.ru

Рекомендации по удалению

Не могли бы дать ссылку на viruslist.ru откуда взяты рекомендации.
Я туда зашел, но поиск по Trojan-Proxy.Win32.Agent.ly не дает никаких описаний и рекомендаций.

[Arrest]

google.com (http://www.google.com/search?ie=UTF-8&oe=UTF-8&sourceid=navclient&gfns=1&q=zupastik) => названия вируса. По ним и смотреть...

[Erekle]

Zupastik-a у кого-то было, пока до конца не решено: http://virusinfo.info/showthread.php?t=8447

[alexblack]

По поводу В инете пишут, что он есть на сайте http://fprognoz.com » хотелось бы заметить... Он был не только на этом сайте, а на всех сайтах провайдера host.com.ua (около сотни штук) на сервере silver.biz.ua. Во все php и htm файлы на этом серваке добавлялись ифреймы, содержащие этот и другие вирусы. Никакой стук в техподдержку host.com.ua не помогал - пришлось сменить хостера.